Mexikanische Datenschutzvorschriften im Überblick

Die Datenschutzvorschriften in Mexiko gewinnen für Unternehmen, die dort tätig sind, zunehmend an Bedeutung. Firmen, die in diesen „Emerging Market“ expandieren möchten, müssen die Besonderheiten des Datenschutzrechts kennen. Doch was regelt das Gesetz konkret?

Was sieht das mexikanische Gesetz vor?

Das neue Bundesgesetz zum Schutz personenbezogener Daten im Besitz privater Parteien (Ley Federal de Protección de Datos Personales en Posesión de Particulares – LFPDPPP), das 2025 die Vorgängerversion von 2010 ersetzt hat, gilt für alle privaten Organisationen, die personenbezogene Daten verarbeiten – einschließlich Unternehmen und anderer privater Einrichtungen. Ziel des Gesetzes ist es, die Privatsphäre von Personen zu schützen, indem die Erhebung, Nutzung, Speicherung und Übermittlung personenbezogener Daten reguliert wird.

Nach dem LFPDPPP müssen Verantwortliche die Einwilligung der betroffenen Personen einholen, bevor sie personenbezogene Daten erheben, und dürfen diese Daten nur für die ursprünglich angegebenen Zwecke verarbeiten. Zudem besteht die Pflicht, geeignete technische, administrative und physische Maßnahmen umzusetzen, um die Vertraulichkeit, Integrität und Sicherheit der Daten während ihres gesamten Verarbeitungszeitraums zu gewährleisten.

Zentrale Anforderungen des LFPDPPP

• Rechtmäßigkeit: Unternehmen müssen sich auf eine Rechtsgrundlage stützen, um die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten sicherzustellen.
• Schutz der „ARCO“-Rechte: Dies sind die Rechte der Betroffenen auf Zugang, Berichtigung, Löschung und Widerspruch – ARCO steht für Acceso (Zugang), Rectificación (Berichtigung), Cancelación (Löschung), und Oposición (Widerspruch). Weitere Rechte wie der Widerruf der Einwilligung sind ebenfalls garantiert.
• Sicherheit: Unternehmen müssen Maßnahmen ergreifen, um die Sicherheit personenbezogener Daten zu gewährleisten, einschließlich dem Schutz vor unbefugtem Zugriff, unbefugter Nutzung oder Offenlegung.
• Benennung eines Oficial de Protección de Datos (Datenschutzbeauftragten, DSB): Alle Verantwortlichen müssen eine Person oder Abteilung benennen, die den Datenschutz überwacht, die Einhaltung sicherstellt und Anfragen von Betroffenen beantwortet.

Folgen bei Nichteinhaltung

Verstöße gegen das LFPDPPP können erhebliche Konsequenzen haben. Das Gesetz sieht Geldstrafen von bis zu 18.102.400 Mexikanische Pesos (ca. 855.378,23 Euro) vor – bei sensiblen Daten sogar das Doppelte. Darüber hinaus können Personen, die von Datenschutzverletzungen profitieren, mit Freiheitsstrafen belegt werden. Unternehmen riskieren zudem Reputationsschäden und Vertrauensverlust, wenn sie personenbezogene Daten unsachgemäß behandeln.

Was sollten Unternehmen in Mexiko mit Blick auf den Datenschutz beachten?

Die Auswirkungen des mexikanischen Datenschutzrechts auf Unternehmen sind erheblich. Die Einhaltung des LFPDPPP kann insbesondere für Firmen, die große Mengen personenbezogener Daten verarbeiten, eine Herausforderung darstellen. Unternehmen müssen in Infrastruktur und Ressourcen investieren, um die Einhaltung des Datenschutzrechts sicherzustellen – einschließlich der Zusammenarbeit mit Expert*innen, die bei der Implementierung von Datenschutzrichtlinien und -verfahren, der Schulung von Mitarbeitenden und der Umsetzung von Sicherheitsmaßnahmen unterstützen.